High alert i Norton...

[Battone]

Jupp, første gangen jeg har fått en high alert... Angrepet ble gjenkjent som:

 

URL_Directory_Traversal med ip127.0.0.1, som er en lokal ip...

 

Sp.målet mitt først er om denne ip er overtatt av noen, og om det finnes noen mulighet å finne ut hvem som har denne... For denne ip`n deles egentlig ikke ut..

 

Og kanskje noen kan forklare litt nærmere hva dette er, har lest om det gjennom hva jeg fant på google, men synes ikke jeg har fått nok info om dette...

[magikern]

titta litt på groups.google.com og fant desverre ikke så mye men kanskje dette hjelper litt: en med samme problem

[Battone]

Leste den, og litt info var det der, men det er ip`n jeg stusser mest på... firewallen har stoppet angrepet, men jeg skulle likt å fått forklart om angrepet kommer direkte fra ip`n eller om det er noen som har fått kontroll over den...

[agvg]

Leste den, og litt info var det der, men det er ip`n jeg stusser mest på... firewallen har stoppet angrepet, men jeg skulle likt å fått forklart om angrepet kommer direkte fra ip`n eller om det er noen som har fått kontroll over den...

 

Hvis noen har kontroll over den IP-en har du et seriøst problem med trojanere.

[Battone]

Leste den, og litt info var det der, men det er ip`n jeg stusser mest på... firewallen har stoppet angrepet, men jeg skulle likt å fått forklart om angrepet kommer direkte fra ip`n eller om det er noen som har fått kontroll over den...

 

Hvis noen har kontroll over den IP-en har du et seriøst problem med trojanere.

 

Jupp, fant det akkurat ut nå.... Det er min egen ip...lol

[Haaland]

Leste den, og litt info var det der, men det er ip`n jeg stusser mest på... firewallen har stoppet angrepet, men jeg skulle likt å fått forklart om angrepet kommer direkte fra ip`n eller om det er noen som har fått kontroll over den...

 

127.0.0.1 er ein IP som peiker tilbake til din eigen maskin, ein såkalla "loopback"-IP. Dersom du pingar 127.0.0.1 frå din eigen maskin, vil maskinen pinga seg sjølv, og på den måten sjå om TCP/IP på nettverkskortet verkar som det skal. Det vil altså seia at angrepet kjem frå din eigen maskin...

 

Dersom eg skal gjetta litt, vil eg ut frå det som stod på linken til magikern gjetta at du køyrer ein IIS-servar på den maskinen som blir angripen. Denne er sannsynlegvis ikkje oppdatert, og har dermed opne sikkerhetshol. Dette har nokon utnytta, og det NIS stoppar er eit forsøk på å lista eller flytta mellom mappene dine ved hjelp av eit av hola i IIS. Fordi alt dette blir gjort frå IIS, trur NIS at angrepet kjem frå 127.0.0.1, sjølv om det eigentleg ikkje gjer det. Dersom eg hadde vore deg, hadde eg teke ned IIS-servaren så fort som mogleg, og sørga for å legga inn alle oppdateringane som har kome ut før eg kjørte han opp att.

 

Redigert: Bør kanskje presisera at det siste avsnittet berre er mine, personlege gjettingar...

[Battone]

Og om jeg hadde hatt IIS så hadde jeg tatt den ned med engang... Har den ikke installert engang, og jeg har alt av oppdateringer på maskinen... Så denne trojaneren har mest sannsynlig fulgt med en eller annen dl... Og den har ikke kontroll over noe i og med at firewallen slo inn i det hele tatt... Kanskje noen kan tipse meg om ett bra removal tool, for det ser ikke ut som norton finner den... Ad-aware fant noe, men vet ikke om den tar trojanere, tviler på det..

[magikern]

prøv Bulletproof Spyware Adware Remover. den fant mye mer enn Adware ihvertfall hos meg... (husker ikke addresse i huet men prøv google.com)

[Haaland]

Og om jeg hadde hatt IIS så hadde jeg tatt den ned med engang... Har den ikke installert engang, og jeg har alt av oppdateringer på maskinen...

OK, då hadde eg definitivt feil...

 

Så denne trojaneren har mest sannsynlig fulgt med en eller annen dl... Og den har ikke kontroll over noe i og med at firewallen slo inn i det hele tatt... Kanskje noen kan tipse meg om ett bra removal tool, for det ser ikke ut som norton finner den... Ad-aware fant noe, men vet ikke om den tar trojanere, tviler på det..

SpyBot Search&Destroy kan vera verdt eit forsøk.

[Battone]

Takker fort svarene, håper jeg finner trojaneren... Den ble forresten trigget av at jeg gikk inn på dagbladet.no, og den prøvde visst å ta en URL_Directory_Traversal mot dagbladet visstnok...

[Battone]

Ok, må bare få si at dette ikke er en trojaner, fikk det godt forklart...

 

 

loopback address ip spoofing...

 

det begrepet jeg nevner over har med at en person tilordner/faker din localhost(loopback address) for å få tilgang (systemtilgang) på din maskin

 

Og du unngår visstnok dette ved å blokke ip segmentet 127.0.0.0 - 127.0.0.255

 

Håper noen leser dette som har samme problemet...

 

Ps, fant ikke dette noen steder på nettet, det var en liten pc-guru som fortalte meg dette...